미국에서 인터넷 서비스 제공업체(ISP)가 사용자의 검색 기록과 브라우징 데이터를 광고주에게 판매하는 것을 금지했던 인터넷 프라이버시 규정이 철폐된 것은 이미 오래된 뉴스입니다. 그 결과, 이제 ISP는 사용자의 온라인 행동을 한층 더 적극적으로 수익화할 수 있게 되었습니다. 그렇다면 ISP는 구체적으로 어떤 정보를 활용할 수 있고, 어떤 방식으로 수익화할까요? 이 글에서 그 답을 자세히 살펴봅니다.
ISP는 어떤 정보를 볼 수 있을까?
암호화되지 않은 웹사이트는 ISP에게 사용자에 관한 가장 상세한 데이터를 제공합니다. 암호화되지 않은 웹사이트는 SSL(Secure Sockets Layer) 없이 HTTP(Hypertext Transfer Protocol)를 사용해 연결이 암호화되지 않은 반면, 암호화된 웹사이트는 SSL과 함께 작동하는 HTTPS(Hypertext Transfer Protocol Secure)를 사용합니다. 즉, ISP는 암호화되지 않은 웹사이트의 데이터는 물론, 암호화된 웹사이트의 일부 데이터까지 확인할 수 있습니다.
암호화되지 않은 웹사이트에서 수집되는 데이터: ISP는 사용자가 암호화되지 않은 웹사이트에서 방문한 모든 웹페이지의 전체 URL(Uniform Resource Locator)을 볼 수 있습니다. 전 FCC 위원장 톰 휠러의 고문을 지낸 지기 손(Gigi Sohn)은 ISP가 "온라인에서 하는 모든 일에 접근할 수 있다"고 말한 바 있습니다.
손에 따르면, ISP는 "당신이 방문하는 모든 웹사이트, 방문 시간과 하루 중 어느 시간대에 접속하는지, 현재 위치, 사용 중인 기기까지 알고 있습니다." 실제로 건강, 뉴스, 쇼핑 분야 상위 50개 웹사이트 중 42개 이상이 암호화되지 않은 상태입니다. 이는 전체의 85%를 넘는 수치로, 타겟(Target.com), 웹엠디(WebMD), 허핑턴포스트, 이케아 등이 여기에 포함됩니다.
암호화된 웹사이트에서 수집되는 데이터: 전체 웹사이트의 절반 가량은 HTTPS를 도입해 ISP가 방문자로부터 얻을 수 있는 정보의 양을 줄였습니다. 사용자가 암호화된 사이트를 이용하면 ISP는 방문한 페이지의 전체 URL이나 콘텐츠에는 접근할 수 없습니다.
하지만 그 사이트에서 어떤 페이지를 열람했는지는 몰라도, 어떤 사이트를 방문했는지 자체는 여전히 파악할 수 있습니다. 그리고 이 정보만으로도 충분히 가치가 있습니다. 사용자가 이용하는 웹사이트를 통해 ISP는 관심사를 추측하고, 연령대, 인터넷 사용 습관, 온라인·오프라인 시간대 등을 어림짐작할 수 있습니다.
브로드밴드 프라이버시 전문 변호사 달러스 해리스(Dallas Harris)는 "당신이 어떤 웹사이트를 보고 있는지만으로도 집에 있는 시간과 자리를 비운 시간을 알아낼 수 있다"고 지적합니다. 그는 "ISP가 파악할 수 있는 정보의 수준은 대부분의 고객이 예상하는 것을 훨씬 넘어선다"고 덧붙였습니다.
ISP들은 당신의 데이터를 보고 추적하는 데 안간힘을 쓰고 있다
미국에서 ISP 프라이버시 규정이 철폐되면서 불쾌한 방식의 데이터 수집 행태에 문이 활짝 열렸습니다. 더욱 우려되는 점은, ISP가 사용자 프라이버시를 침해해 온 전례가 이미 여럿 존재한다는 사실입니다. 대표적인 사례들을 살펴보겠습니다.
트래픽 엿보기 및 광고 삽입: ISP는 사용자의 검색 기록을 활용해 광고를 끼워 넣고 노출시킵니다. AT&T, 차터(Charter), CMA가 과거에 이런 행위를 했다는 보도가 있었습니다. 전자프론티어재단(EFF)에 따르면, FCC의 프라이버시 규정 철폐는 앞으로 ISP가 이런 방식으로 사용자 트래픽을 판매할 수 있는 법적 근거를 공식적으로 부여하는 셈입니다.
마케터에게 데이터 판매: 광고 전문지 애드버타이징에이지(AdvertisingAge)에 따르면, SAP의 서비스 '컨슈머 인사이트 365(Consumer Insight 365)'는 "2천만~2천5백만 명의 모바일 가입자 각각에 대해 하루 최대 300건의 휴대폰 이벤트 데이터를 정기적으로 업데이트하며 받아들인다"고 합니다.
같은 보도에 따르면, 이 서비스는 통신사 데이터를 다른 정보와 결합해 기업에 경쟁사 가격을 비교하는 쇼핑객의 유무를 알려주고, 오전 10시부터 정오 사이에 특정 매장을 방문한 사람들의 연령대와 성별을 파악하며, 위치·인구통계 데이터를 쇼핑객의 웹 검색 기록과 연결할 수도 있습니다.
SAP는 해당 보도 당시 이런 데이터를 공급하는 통신사가 어디인지 밝히기를 거부했습니다. 요컨대, ISP는 사용자의 인구통계, 위치, 검색 기록 데이터를 확인하고 추적할 뿐 아니라 판매까지 하고 있는 것입니다.
HTTP 요청에 감지 불가능하고 지울 수 없는 추적 쿠키 삽입: 버라이즌(Verizon), AT&T 같은 ISP가 '슈퍼쿠키(supercookie)'로 사용자를 추적한 사실이 보도된 바 있습니다. EFF는 "처음에는 고객이 이 '기능'을 끌 방법이 전혀 없었다. 시크릿 모드나 개인정보 보호 브라우징을 사용하든, 추적 차단기를 켜두었든, Do-Not-Track을 설정했든 상관없이 버라이즌은 이를 모두 무시하고 암호화되지 않은 모든 발신 트래픽에 고유 식별자를 삽입했다"고 밝혔습니다.
슈퍼쿠키 또는 UIDH(Unique Identifier Header)가 있으면 누구나(광고주 포함) 사용자의 웹 검색을 추적할 수 있습니다. 광고주는 버라이즌 UIDH를 이용해 삭제된 쿠키마저 되살려 '좀비 쿠키'로 만들 수 있었습니다. FCC에 따르면 버라이즌은 사용자가 원할 경우 이 기능을 끌 수 있도록 프라이버시 정책을 수정하기까지 무려 2년 동안 슈퍼쿠키를 계속 가동했습니다.
검색 하이재킹: EFF에 따르면 2011년 여러 ISP가 팩스파이어(Paxfire)의 서비스를 이용해 사용자의 검색 질의를 빙(Bing), 야후!(Yahoo!), 구글 등 검색엔진으로 가로채다 적발되었습니다. ISP는 이를 통해 특정 사이트로 트래픽을 유도하면서 이 과정에서 수익을 올린 것으로 추정됩니다.
앱 사용 기록과 방문 URL을 저장하는 사전 설치 소프트웨어: 스프린트(Sprint), T모바일(T-Mobile), AT&T가 사용자가 방문한 URL과 사용한 앱을 기록한 것으로 드러났습니다. ISP는 캐리어 IQ(Carrier IQ)를 통해 앱 사용 현황과 방문 웹사이트를 추적했습니다. 전자프론티어재단의 트레버 에크하트(Trevor Eckhart)는 캐리어 IQ의 작동 방식을 폭로하는 조사를 진행했습니다.
캐리어 IQ는 과거 집단소송으로 이어지기도 했지만, FCC 프라이버시 규정의 철폐는 ISP가 이런 추적 소프트웨어를 사용하도록 장려하고 심지어 합법화할 수도 있습니다.
온라인에서 안전하게 지내는 방법
ISP의 강력한 추적 기술과 정보 수집·활용이 만연한 상황에서는, 토르(Tor)나 VPN으로 보호되는 연결을 통해 인터넷에 접속하는 것이 가장 좋습니다. VPN(가상사설망)은 신원을 효과적으로 가려주고 데이터를 암호화하며, ISP가 얻을 수 있는 정보의 흐름을 크게 제한합니다. FCC가 사용자 동의 없이 인터넷 트래픽 데이터를 활용하고 판매할 자유를 ISP에 허용한 지금, VPN 사용은 그 어느 때보다 필수가 되었다고 해도 과언이 아닙니다.